Oracle merilis Critical Patch Update Juli 2026 yang mencakup 1.449 perbaikan keamanan baru di 32 keluarga produk. Fusion Middleware menjadi fokus utama dengan 355 kerentanan yang ditangani, termasuk sepuluh di antaranya yang mencatat skor sempurna 10.0 pada skala CVSS. Sepuluh kerentanan tersebut bersifat mudah dieksploitasi dan dapat dimanfaatkan penyerang tanpa autentikasi melalui akses jaringan HTTP.
Kerentanan berdampak pada komponen seperti Oracle Data Integrator, Oracle Access Manager, Oracle HTTP Server, Oracle Platform Security for Java, Oracle WebCenter Content, Service Delivery Platform, serta Oracle WebLogic Server Proxy Plug-in. Sifat jarak jauh tanpa kredensial membuat risiko ini sangat tinggi bagi organisasi yang menjalankan layanan berbasis web.
Selain Fusion Middleware, Oracle Database Server juga menerima perhatian khusus. Kerentanan CVE-2026-61211 pada komponen RDBMS DBMS_CLOUD mencatat skor 9.9 dan memungkinkan penyerang berprivilese rendah mengambil alih sistem melalui Oracle Net. Kerentanan lain, CVE-2026-47040, memengaruhi Connection Manager di Oracle Net Services dan dapat dieksploitasi secara remote tanpa autentikasi.
Dua kerentanan kritis juga ditemukan pada Oracle TimesTen in-memory database. Produk lain yang menerima patch meliputi E-Business Suite, PeopleSoft, Siebel, JD Edwards, MySQL, Solaris, dan VM VirtualBox. GoldenGate menerima 27 patch baru, sembilan di antaranya tidak memerlukan autentikasi.
Volume patch yang sangat besar ini menandai perubahan signifikan dalam praktik manajemen risiko. Organisasi perlu menerapkan pendekatan bertingkat: menangani kerentanan yang dapat dijangkau jaringan dalam 72 jam pertama, memperbaiki komponen inti dalam sepuluh hari, dan mengevaluasi sisanya berdasarkan profil risiko sebelum rilis Oktober.
Penggunaan Fusion Middleware yang luas di lingkungan enterprise meningkatkan urgensi perbaikan ini. Banyak sistem misi kritis di sektor keuangan dan pemerintahan bergantung pada komponen yang terdampak, sehingga keterlambatan patching dapat memperluas permukaan serangan secara signifikan.
Dengan diperkenalkannya program patch bulanan sejak Mei 2026, perusahaan perlu menyesuaikan proses operasional mereka. Sertifikasi aplikasi, pengujian regresi, dan koordinasi antar tim menjadi tantangan utama yang harus diatasi agar frekuensi patch yang lebih tinggi tidak mengganggu stabilitas layanan.
Oracle merekomendasikan prioritas berdasarkan paparan internet dan dampak bisnis. Kerangka kerja continuous threat exposure management dapat membantu organisasi memfokuskan sumber daya pada aset yang paling rentan daripada hanya mengandalkan skor CVSS semata.
Rilis berikutnya dijadwalkan pada 20 Oktober 2026 untuk pembaruan kumulatif, sementara patch bulanan akan tersedia pada 18 Agustus dan 15 September 2026. Pendekatan proaktif terhadap pembaruan ini menjadi kunci menjaga integritas infrastruktur teknologi informasi.
